CN113542235B - 一种基于令牌互信机制的安全互访方法 - Google Patents

一种基于令牌互信机制的安全互访方法 Download PDF

Info

Publication number
CN113542235B
CN113542235B CN202110719465.2A CN202110719465A CN113542235B CN 113542235 B CN113542235 B CN 113542235B CN 202110719465 A CN202110719465 A CN 202110719465A CN 113542235 B CN113542235 B CN 113542235B
Authority
CN
China
Prior art keywords
token
server
client
request message
verification
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202110719465.2A
Other languages
English (en)
Other versions
CN113542235A (zh
Inventor
戚荣荣
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shanghai Pudong Development Bank Co Ltd
Original Assignee
Shanghai Pudong Development Bank Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shanghai Pudong Development Bank Co Ltd filed Critical Shanghai Pudong Development Bank Co Ltd
Priority to CN202110719465.2A priority Critical patent/CN113542235B/zh
Publication of CN113542235A publication Critical patent/CN113542235A/zh
Application granted granted Critical
Publication of CN113542235B publication Critical patent/CN113542235B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明涉及一种基于令牌互信机制的安全互访方法，应用于一种安全互访系统，该系统包括服务端，服务端连接有不同的客户端，服务端与不同客户端之间约定有对应的令牌接收地址，服务端用于更新推送对应的令牌给客户端，以及对客户端请求报文中携带的令牌进行有效验证、对验证通过后的请求报文进行处理；客户端用于向服务端发送携带有令牌的请求报文，以及接收校验存储服务端推送的令牌、接收服务端输出的响应信息。与现有技术相比，本发明通过令牌机制对调用方客户端进行限制，使服务方调整鉴权方式，接口权限和令牌机制并行，从而确保精确识别调用方，并鉴别调用方是否有调用权限，由此有效提高安全互访的可靠性。

Description

一种基于令牌互信机制的安全互访方法
技术领域
本发明涉及应用安全技术领域，尤其是涉及一种基于令牌互信机制的安全互访方法。
背景技术
在当前的内部系统间接口互防过程中，通常服务方会通过调用方提交报文中的调用方唯一编号字段，以识别调用方，从而进行鉴权。因此需要在服务方服务端配置有访问系统唯一编号和调用接口权限的对应关系，以限制调用方的接口调用。
而在实际应用中，无具体接口权限的调用方可以伪造调用方唯一编号字段，使得服务方识别到其他系统，绕过服务方接口权限控制，从而非法获取接口调用权限，服务方也会将错误的调用方记录至日志中。此外，服务方在对调用方进行唯一身份识别时，大多是采用非对称密钥签名的方式进行，这种方式对双方服务性能消耗较高，且开发和联调较为复杂，接口规范描述也必需标注相关字段是否参与签名运算，导致签名的结果字段较长，这无疑会增加整体报文长度、加大网络通信压力，不利于高效可靠地进行安全互访。
发明内容
本发明的目的就是为了克服上述现有技术存在的缺陷而提供一种基于令牌互信机制的安全互访方法，使服务方能够精确识别调用方，提高安全互访的可靠性。
本发明的目的可以通过以下技术方案来实现：一种基于令牌互信机制的安全互访系统，包括服务端，所述服务端连接有不同的客户端，所述服务端与不同客户端之间约定有对应的令牌接收地址，所述服务端用于更新推送对应的令牌给客户端，以及对客户端请求报文中携带的令牌进行有效验证、对验证通过后的请求报文进行处理；所述客户端用于向服务端发送携带有令牌的请求报文，以及接收校验存储服务端推送的令牌、接收服务端输出的响应信息。
进一步地，所述服务端设置有令牌生成单元，所述令牌生成单元用于更新生成对应于客户端的令牌，并对令牌进行HMAC(Hash-based Message Authentication Code，哈希消息认证码)加固。
进一步地，所述客户端设置有校验单元，所述校验单元用于对接收的令牌进行HMAC校验。
进一步地，所述服务端设置有令牌比较单元，所述令牌比较单元用于对请求报文中的令牌进行有效性验证。
进一步地，所述服务端设置有第一缓存，所述客户端设置有第二缓存，所述第一缓存用于更新存储服务端生成的令牌，所述第二缓存用于更新存储客户端接收的令牌。
进一步地，所述令牌生成单元的输出端与第一缓存相连接，以将更新生成的令牌输出给第一缓存。
进一步地，所述令牌比较单元的输入端与第一缓存相连接，以从第一缓存获取令牌后与请求报文中的令牌进行比较。
进一步地，所述校验单元的输出端与第二缓存相连接，以将HMAC校验通过的令牌输出给第二缓存。
一种基于令牌互信机制的安全互访方法，包括以下步骤：
S1、服务端与客户端预先约定令牌接收地址，所述令牌接收地址由客户端提供给服务端，并由服务端记录在配置中；
S2、根据设定的更新推送周期，服务端更新推送令牌给对应令牌接收地址的客户端，并缓存该令牌；
S3、客户端对接收的令牌进行HMAC校验，校验通过后缓存该令牌；
S4、客户端向服务端发起请求报文，所述请求报文携带有令牌；
S5、服务端对请求报文中的令牌进行有效性验证，若验证通过则执行步骤S6，否则输出令牌验证失败的消息给客户端；
S6、服务端对请求报文进行处理，并输出对应的响应消息给客户端。
进一步地，所述服务端更新推送的令牌，该令牌每5分钟重新生成和推送，具有10分钟的有效期，以覆盖令牌更新过程，同一时间内保证2个令牌有效，覆盖整个令牌下发过渡期。
与现有技术相比，本发明具有以下优点：
一、本发明通过令牌机制对调用方进行限制，将服务端与连接的客户端之间预先约定对应的令牌接收地址，并在服务端和客户端分别缓存令牌，使得服务端仅对配置中约定好令牌接受地址的客户端进行令牌推送，而客户端也仅能从对应的服务端获取到令牌，服务端与客户端之间构成互信系统，在调用时，非互信的客户端则无法获取到令牌，访问特定接口的操作将不被允许，由此避免发生伪造调用方唯一编号字段、使服务端错误识别其他客户端以及记录错误调用方记录的问题，从而使服务端能够精确识别调用的客户端，并鉴别该客户端是否有调用权限、将真实的访问信息记录至日志中，有效保证安全互访的可靠性。
二、本发明在服务端生成推送令牌时，通过HMAC对令牌下发过程进行保护，以防止令牌被伪造，且客户端在收到令牌后还会对服务端HMAC进行校验，以此进一步保证令牌的安全可靠性，此外，本发明采用更新生成推送令牌的方式，使得同一时间内保证2个令牌的有效性，以此进一步防止令牌被伪造、且提高令牌推送的可靠性。
三、本发明通过令牌的方式，相比基于非对称密钥签名进行调用方身份识别的方式，对对代码侵入性较低，实现逻辑简单，客户端发起的报文长度仅多了一个40位长度的令牌，对报文数据的影响较小，且服务端收到后，只需与缓存中的令牌做一次比较验证即可，整体较为轻量。
附图说明
图1为本发明的系统结构示意图；
图2为本发明的方法流程图；
图3为实施例中令牌的更新效果示意图；
图4为实施例中客户端与服务端之间的交互过程示意图。
具体实施方式
下面结合附图和具体实施例对本发明进行详细说明。
实施例
如图1所示，一种基于令牌互信机制的安全互访系统，包括服务端，服务端连接有不同的客户端(如图所示的客户端A、B、……N)，服务端与不同客户端之间约定有对应的令牌接收地址，服务端用于更新推送对应的令牌给客户端，以及对客户端请求报文中携带的令牌进行有效验证、对验证通过后的请求报文进行处理；客户端用于向服务端发送携带有令牌的请求报文，以及接收校验存储服务端推送的令牌、接收服务端输出的响应信息。
其中，服务端设置有令牌生成单元，令牌生成单元用于更新生成对应于客户端的令牌，并对令牌进行HMAC加固，相应的，客户端设置有校验单元，校验单元用于对接收的令牌进行HMAC校验；
服务端设置有令牌比较单元，令牌比较单元用于对请求报文中的令牌进行有效性验证；
此外，服务端设置有第一缓存，客户端设置有第二缓存，服务端中令牌生成单元的输出端与第一缓存相连接，以将更新生成的令牌输出给第一缓存，服务端中令牌比较单元的输入端与第一缓存相连接，以从第一缓存获取令牌后与请求报文中的令牌进行比较；
客户端中校验单元的输出端与第二缓存相连接，以将HMAC校验通过的令牌输出给第二缓存。
将上述系统应用于实际，以实现一种基于令牌互信机制的安全互访方法，如图2所示，包括以下步骤：
S1、服务端与客户端预先约定令牌接收地址，令牌接收地址由客户端提供给服务端，并由服务端记录在配置中；
S2、根据设定的更新推送周期，服务端更新推送令牌给对应令牌接收地址的客户端，并缓存该令牌；
S3、客户端对接收的令牌进行HMAC校验，校验通过后缓存该令牌；
S4、客户端向服务端发起请求报文，请求报文携带有令牌；
S5、服务端对请求报文中的令牌进行有效性验证，若验证通过则执行步骤S6，否则输出令牌验证失败的消息给客户端；
S6、服务端对请求报文进行处理，并输出对应的响应消息给客户端。
本实施例中，如图3所示，服务端更新推送的令牌，该令牌每5分钟重新生成和推送，具有10分钟的有效期，以覆盖令牌更新过程，同一时间内保证2个令牌有效，覆盖整个令牌下发过渡期。
本实施例应用上述技术方案，其中，客户端与服务端之间数据交互过程如图4所示：
1、服务方(即服务端)与调用方(即客户端)线下完成令牌接收地址的约定，调用方提供，服务方记录在配置中。
2、服务端系统针对不同调用方，生成不同的调用令牌，并将具体调用方的接口访问权限以及其他相关配置与令牌进行绑定，将绑定关系写入服务端的缓存中，并将令牌推送至服务端本地记录的调用方令牌接收地址。
3、调用方系统获取令牌后，将令牌存放在客户端的缓存中。当向服务方发起请求时，则将缓存的令牌添加至请求报文中。
4、服务端收到调用方系统请求，将报文中的令牌取出，与缓存中的令牌作对比，通过后再对调用方系统进行鉴权操作。
其中，服务端推送令牌时，通过约定国密对称密钥，对令牌下发报文进行HMAC加固，调用方系统收到后对服务端HMAC进行校验，通过后缓存令牌，由此将令牌下发过程与国家密码学算法进行结合，通过HMAC对令牌下发过程进行保护，以防令牌伪造。
综上可知，本发明提出的技术方案中，服务端仅对配置中的调用方系统进行令牌推送，可以获取到令牌的调用方，都是服务方互信系统。在调用时，非互信系统无法获取到令牌，访问特定接口的操作将不被允许，通过令牌机制对调用方进行限制，服务方调整鉴权方式，接口权限和令牌机制并行，确保精确识别调用方，并鉴别其是否有调用权限，并将真实的访问信息记录至日志中。

Claims (9)

1.一种基于令牌互信机制的安全互访方法，应用于一种安全互访系统，其特征在于，所述系统包括服务端，所述服务端连接有不同的客户端，所述服务端与不同客户端之间约定有对应的令牌接收地址，所述服务端用于更新推送对应的令牌给客户端，以及对客户端请求报文中携带的令牌进行有效验证、对验证通过后的请求报文进行处理；所述客户端用于向服务端发送携带有令牌的请求报文，以及接收校验存储服务端推送的令牌、接收服务端输出的响应信息；
所述安全互访方法包括以下步骤：
S1、服务端与客户端预先约定令牌接收地址，所述令牌接收地址由客户端提供给服务端，并由服务端记录在配置中；
S2、根据设定的更新推送周期，服务端更新推送令牌给对应令牌接收地址的客户端，并缓存该令牌；
S3、客户端对接收的令牌进行HMAC校验，校验通过后缓存该令牌；
S4、客户端向服务端发起请求报文，所述请求报文携带有令牌；
S5、服务端对请求报文中的令牌进行有效性验证，若验证通过则执行步骤S6，否则输出令牌验证失败的消息给客户端；
S6、服务端对请求报文进行处理，并输出对应的响应消息给客户端。
2.根据权利要求1所述的一种基于令牌互信机制的安全互访方法，其特征在于，所述服务端设置有令牌生成单元，所述令牌生成单元用于更新生成对应于客户端的令牌，并对令牌进行HMAC加固。
3.根据权利要求2所述的一种基于令牌互信机制的安全互访方法，其特征在于，所述客户端设置有校验单元，所述校验单元用于对接收的令牌进行HMAC校验。
4.根据权利要求3所述的一种基于令牌互信机制的安全互访方法，其特征在于，所述服务端设置有令牌比较单元，所述令牌比较单元用于对请求报文中的令牌进行有效性验证。
5.根据权利要求4所述的一种基于令牌互信机制的安全互访方法，其特征在于，所述服务端设置有第一缓存，所述客户端设置有第二缓存，所述第一缓存用于更新存储服务端生成的令牌，所述第二缓存用于更新存储客户端接收的令牌。
6.根据权利要求5所述的一种基于令牌互信机制的安全互访方法，其特征在于，所述令牌生成单元的输出端与第一缓存相连接，以将更新生成的令牌输出给第一缓存。
7.根据权利要求5所述的一种基于令牌互信机制的安全互访方法，其特征在于，所述令牌比较单元的输入端与第一缓存相连接，以从第一缓存获取令牌后与请求报文中的令牌进行比较。
8.根据权利要求5所述的一种基于令牌互信机制的安全互访方法，其特征在于，所述校验单元的输出端与第二缓存相连接，以将HMAC校验通过的令牌输出给第二缓存。
9.根据权利要求1所述的一种基于令牌互信机制的安全互访方法，其特征在于，所述服务端更新推送的令牌，该令牌每5分钟重新生成和推送，具有10分钟的有效期，以覆盖令牌更新过程，同一时间内保证2个令牌有效，覆盖整个令牌下发过渡期。
CN202110719465.2A 2021-06-28 2021-06-28 一种基于令牌互信机制的安全互访方法 Active CN113542235B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110719465.2A CN113542235B (zh) 2021-06-28 2021-06-28 一种基于令牌互信机制的安全互访方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110719465.2A CN113542235B (zh) 2021-06-28 2021-06-28 一种基于令牌互信机制的安全互访方法

Publications (2)

Publication Number Publication Date
CN113542235A CN113542235A (zh) 2021-10-22
CN113542235B true CN113542235B (zh) 2023-04-07

Family

ID=78097007

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110719465.2A Active CN113542235B (zh) 2021-06-28 2021-06-28 一种基于令牌互信机制的安全互访方法

Country Status (1)

Country Link
CN (1) CN113542235B (zh)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104753674A (zh) * 2013-12-31 2015-07-01 中国移动通信集团公司 一种应用身份的验证方法和设备
CN110493258A (zh) * 2019-09-09 2019-11-22 平安普惠企业管理有限公司 基于token令牌的身份校验方法及相关设备
CN111212095A (zh) * 2020-04-20 2020-05-29 国网电子商务有限公司 一种身份信息的认证方法、服务器、客户端及系统
WO2020166066A1 (ja) * 2019-02-15 2020-08-20 日本電気株式会社 トークン保護方法、認可システム、装置、及び、プログラム記録媒体

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9154482B2 (en) * 2013-02-15 2015-10-06 Verizon Patent And Licensing Inc. Secure access credential updating
CN109756337B (zh) * 2017-11-06 2022-01-07 北京京东尚科信息技术有限公司 一种服务接口的安全接入方法和装置
CN108418834A (zh) * 2018-04-04 2018-08-17 成都鹏业软件股份有限公司 一种物联网设备身份验证方法
CN108471432B (zh) * 2018-07-11 2020-09-11 北京智芯微电子科技有限公司 防止网络应用程序接口被恶意攻击的方法
CN112398856B (zh) * 2020-11-17 2022-11-29 平安普惠企业管理有限公司 页面访问方法、装置、设备及存储介质
CN112836204A (zh) * 2021-02-03 2021-05-25 中国人民财产保险股份有限公司 一种令牌更新方法和装置

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104753674A (zh) * 2013-12-31 2015-07-01 中国移动通信集团公司 一种应用身份的验证方法和设备
WO2020166066A1 (ja) * 2019-02-15 2020-08-20 日本電気株式会社 トークン保護方法、認可システム、装置、及び、プログラム記録媒体
CN110493258A (zh) * 2019-09-09 2019-11-22 平安普惠企业管理有限公司 基于token令牌的身份校验方法及相关设备
CN111212095A (zh) * 2020-04-20 2020-05-29 国网电子商务有限公司 一种身份信息的认证方法、服务器、客户端及系统

Also Published As

Publication number Publication date
CN113542235A (zh) 2021-10-22

Similar Documents

Publication Publication Date Title
JP7060362B2 (ja) 電子デバイスのためのイベント証明書
US20190190723A1 (en) Authentication system and method, and user equipment, authentication server, and service server for performing same method
CN106060796B (zh) 终端的备份销毁方法和装置
CN101350723B (zh) 一种USB Key设备及其实现验证的方法
CN109325342A (zh) 身份信息管理方法、装置、计算机设备和存储介质
CN102946384B (zh) 用户验证方法和设备
US10904004B2 (en) User-session management in a zero-knowledge environment
CN108496323B (zh) 一种证书导入方法及终端
US11102006B2 (en) Blockchain intelligent security implementation
CN112448946B (zh) 基于区块链的日志审计方法及装置
TWM595792U (zh) 跨平台授權存取資源的授權存取系統
CN113711560A (zh) 用于有效质询-响应验证的系统和方法
CN110336807A (zh) 一种基于Web服务的身份认证方法、设备以及存储介质
CN114531277A (zh) 一种基于区块链技术的用户身份认证方法
CN109981680A (zh) 一种访问控制实现方法、装置、计算机设备及存储介质
CN111355591A (zh) 一种基于实名认证技术的区块链账号安全的管理方法
WO2023093500A1 (zh) 一种访问验证方法及装置
US10880302B2 (en) Systems and methods for biometric authentication of certificate signing request processing
CN111147525A (zh) 基于api网关的认证方法、系统、服务器和存储介质
JP5186648B2 (ja) 安全なオンライン取引を容易にするシステム及び方法
CN113542235B (zh) 一种基于令牌互信机制的安全互访方法
CN109474431A (zh) 客户端认证方法及计算机可读存储介质
US20130205374A1 (en) Method and system for network access control
TW202116038A (zh) 電子裝置之認證方法及系統
Damabi Security analysis of the OpenID financial-grade API

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant